CISA Prepara Regra Vital para Notificação de Incidentes Cibernéticos

A CISA, agência de segurança cibernética dos EUA, está consolidando sua estratégia de resiliência digital com a iminente finalização da regra do Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA). Esta medida vai muito além de um simples formulário; ela estabelece um regime mandatório de notificação que muda o jogo para as entidades de infraestrutura crítica. A agência, que já vem adotando uma postura mais incisiva na gestão de vulnerabilidades em agências federais, como visto em nossa cobertura de junho de 2026, estende agora essa cultura de resposta rápida ao setor privado.

Anteriormente, a CISA dependia muito da cooperação voluntária para obter inteligência sobre ataques. Agora, a regra CIRCIA exige que incidentes significativos sejam reportados em 72 horas, e pagamentos de resgate de ransomware em apenas 24 horas. Essa urgência reflete o cenário de ameaças pós-eventos como SolarWinds e Colonial Pipeline, e a crescente preocupação com escaladas geopolíticas, que demonstram a necessidade de visibilidade imediata para coordenar defesas nacionais. É um movimento claro da CISA para ter uma visão mais completa do panorama de ameaças, agindo preventivamente.

A grande mudança não é apenas a chegada de uma nova regra, mas a concretização de um processo legislativo complexo e demorado. O CIRCIA, que começou como uma legislação aprovada pelo Congresso em 2022, e teve seu primeiro aviso processual publicado em abril de 2024, finalmente está se tornando uma regulamentação final. Houve atrasos, incluindo o não cumprimento do prazo estatutário de outubro de 2025. Após rodadas adicionais de discussão com stakeholders em junho de 2026, a CISA agora se prepara para a finalização em setembro. O que antes era uma lei e intenção, agora é uma realidade regulatória com prazos definidos e sanções implícitas.

Observamos uma evolução na postura da CISA: de uma agência que dependia de colaboração voluntária, ela agora avança para um modelo de comando e controle mais direto. Os prazos de 72 horas para incidentes e 24 horas para ransomware refletem a mesma filosofia de resposta ultrarrápida que a CISA tem imposto para a correção de vulnerabilidades críticas em agências federais. Nossa cobertura de 15 de junho de 2026, 11 de junho de 2026 e 16 de junho de 2026 mostrou a CISA determinando que falhas críticas fossem corrigidas em até três dias ou 72 horas. Há uma clara convergência na agilidade exigida pela agência, seja para corrigir vulnerabilidades ou reportar incidentes.

Esta nova regulamentação tem um impacto significativo para a segurança nacional e para as empresas de infraestrutura crítica. Ela transforma o papel dessas entidades de meros alvos em parceiros ativos e obrigatórios na defesa cibernética do país. A notificação rápida dos incidentes dará à CISA uma inteligência de ameaças em tempo real, permitindo identificar padrões de ataque, alertar outras organizações e coordenar respostas de forma mais eficaz.

Para as empresas, isso significa uma reestruturação de suas capacidades de detecção e resposta a incidentes. Será preciso investir em ferramentas e processos que garantam a identificação e o reporte dentro dos prazos apertados. A não conformidade pode gerar penalidades, mas o maior risco é a empresa não estar preparada para um cenário de ataque que demande essa agilidade regulamentada. A proteção de dados sensíveis e a continuidade operacional dependem de uma cultura de cibersegurança que se adapte rapidamente a estas novas exigências.